MCP-godkendelse

/mcp-endepunktet kræver et Supabase access_token, som sendes som et Bearer-token. De fleste MCP-klienter henter dette automatisk via OAuth 2.1 PKCE-flowet. Du kan også levere et token manuelt til test.

OAuth 2.1 PKCE-flow

Flowstep implementerer en fuldstændig OAuth 2.1-autorisationsserver på https://api.flowstep.ai. MCP-klienter opdager og gennemfører flowet automatisk: de åbner et browservindue til dig for at logge ind, og håndterer derefter token-udvekslingen bag kulisserne. Autorisationssiden på /oauth/authorize understøtter:

Email/password (e-mail/adgangskode) – enhver Flowstep-konto med en indstillet adgangskode
Google SSO – omdirigerer gennem Supabase social auth og vender automatisk tilbage til klienten

Kontoopretting for claude.ai-connector-brugere

OAuth-login-siden indeholder ikke en tilmeldingsformular. Hvis du forbinder via claude.ai’s brugerdefinerede connector og ikke har en Flowstep-konto endnu, skal du oprette en først på app.flowstep.ai og derefter vende tilbage til connector-opsætningen for at godkende. Hvis ingen Authorization-header er til stede, falder middleware tilbage til en cookie-baseret Supabase-session. Dette fungerer, når du får adgang til /mcp direkte fra en browser med en aktiv Flowstep-session. MCP-klienter bruger altid Bearer-stien.

Manuelt token (test)

Sådan kalder du endepunktet direkte uden et klient-OAuth-flow:

Log ind på app.flowstep.ai i din browser
Åbn DevTools → Console og kør:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Send tokenet som en header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessioner varer 30 dage – serveren opdaterer det underliggende token transparant, så klienter, der bruger OAuth-flowet, ikke behøver at genudsende godkendelse under normal brug. Et manuelt udtrukket token som det ovenfor udløber stadig efter omkring en time; det er kun til hurtig test.

Kom godt i gang

Brug af Flowstep

Teams og organisationer

Eksport og integrationer

MCP-server

Fakturering og abonnementer

Sikkerhed og privatliv

OAuth 2.1 PKCE-flow

Kontoopretting for claude.ai-connector-brugere

Manuelt token (test)

​OAuth 2.1 PKCE-flow

​Understøttede login-metoder

​Kontoopretting for claude.ai-connector-brugere

​Cookie-fallback

​Manuelt token (test)

OAuth 2.1 PKCE-flow

Understøttede login-metoder

Kontoopretting for claude.ai-connector-brugere

Cookie-fallback

Manuelt token (test)